TLS bietet drei Dinge:

• Vertraulichkeit: dass niemand den Verkehr zwischen Ihnen und facebook.com (einschließlich des Mannes) sehen kann am Nebentisch bei Starbucks, Ihrem ISP, einige skizzenhafte Netzwerkgeräte im Rechenzentrum COUGH NSA , niemand).
• Integrität: dass niemand Änderungen vornimmt die Nachrichten, während sie zwischen Ihnen und facebook.com übertragen werden (dies unterscheidet sich von der Vertraulichkeit, da Sie bei einigen Arten von Angriffen die Nachricht auf böswillige Weise ändern können, auch wenn Sie die Nachrichten nicht kennen ).
• Authentifizierung: dass Sie mit dem authentischen facebook.com -Server sprechen, nicht mit einer gefälschten Version davon.

Die Grundidee, die ich von ihnen erhalten habe, ist, dass bei Verwendung von https alle Dinge clientseitig verschlüsselt und dann an den Server gesendet werden. (Bitte korrigieren Sie mich, wenn ich falsch liege.)

Dies betrifft die Vertraulichkeits- und Integritätsteile, aber Sie vermissen den Authentifizierungsteil:

Um dies zu beweisen Sie sprechen nicht mit einem gefälschten Webserver.

Angenommen, ich habe eine Phishing-Version von Facebook eingerichtet und mich irgendwie in Ihren Heimrouter (einfach) oder ISP (schwieriger) gehackt, damit wann Wenn Sie facebook.com eingeben, wird meine IP-Adresse anstelle der tatsächlichen Adresse aufgelöst. Ich habe eine genaue Kopie des erwarteten Anmeldebildschirms erstellt und Sie geben Ihren Benutzernamen und Ihr Passwort ein. Muahaha! Jetzt habe ich Ihren Benutzernamen und Ihr Passwort.

Wie verhindert HTTPS dies? Antwort: mit Zertifikaten:

Wenn wir das Zertifikat in der Dev Tools> -Sicherheit meines Browsers öffnen, wird Folgendes angezeigt:

DigiCert wird als öffentlich vertrauenswürdige Zertifizierungsstelle (CA) bezeichnet. Tatsächlich ist DigiCert eine der Zertifizierungsstellen, denen Ihr Browser von Natur aus vertraut, da sein "Stammzertifikat" in den Quellcode Ihres Browsers eingebettet ist. Sie können die vollständige Liste der vertrauenswürdigen Stammzertifizierungsstellen anzeigen, indem Sie in den Browsereinstellungen nach "Zertifikaten" oder "Vertrauenswürdigen Wurzeln" oder Ähnlichem suchen.

Ihr Browser vertraut also von Natur aus DigiCert und über dieses Zertifikat DigiCert hat bestätigt, dass der Server, mit dem Sie sprechen, der echte facebook.com ist (da er den privaten Schlüssel hat, der mit dem Zertifikat übereinstimmt). Sie erhalten das grüne Vorhängeschloss und wissen, dass alles in Ordnung ist.

Nur zum Spaß machen wir einen gefälschten facebook.com . Ich habe diese Zeile zu meiner Hosts-Datei hinzugefügt, damit sie bei jeder Eingabe von facebook.com zur IP-Adresse von google.com umgeleitet wird:

  209.85.147.138 facebook.com  

Google, was machst du, wenn du versuchst, mein Facebook-Passwort zu stehlen? Gott sei Dank ist HTTPS hier, um mich zu beschützen! Mein Browser ist sehr unglücklich, da das vorgelegte Zertifikat (für google.com ) nicht mit der angeforderten URL übereinstimmt ( facebook.com ). Vielen Dank an HTTPS!

Kurze Antwort:

HTTPS beabsichtigt, eine sichere Verbindung zwischen einer registrierten Website und ihrem Benutzercomputer herzustellen, damit Sie sicher sein können, dass die besuchte Website wirklich das ist, was Sie sind wollte besuchen, und die Daten werden während des Transports nicht erfasst / geändert.

Lange Antwort:

Wenn ich Sie richtig verstanden habe, lautet Ihre Grundidee: dass nur ein Netzwerkadministrator Ihre Aktivitäten überwachen kann und es zu Hause so etwas nicht gibt. Dies ist nicht der Fall.

Jede Person, Gruppe, Firma (ISP) oder jeder Staat kann den Transit sehen und ändern. und damit infizieren Sie Ihren Computer. Das Internet ist heutzutage eher eine Cyberkriegszone, in der die genannten Einheiten oft sogar ihre Verbündeten angreifen, um Informationen zu stehlen = Geld = Macht, Kontrolle zu erlangen, Menschen durch Hacking zu bedrohen oder physisch zu verletzen. Sogar staatliche Instrumente stehen Einzelpersonen auf dem Schwarzmarkt zur Verfügung. Permanente Tools / Malware überleben das Ändern der Festplatte, sodass sie Sie langfristig überwachen / schädigen können.

Das Problem mit https ist, dass es auch auf viele Arten gehackt werden kann, wodurch Sie einen falschen Eindruck bekommen Aus diesem Grund ist es wichtig, https zu verwenden, wann immer Sie können, und sich auch um die Systemsicherheit zu kümmern. Sie können Erweiterungen für Browser herunterladen, um Sie automatisch zu HTTPS-Sites zu leiten , wenn es möglich ist.

Die anderen Antworten sind bisher gut. Ich werde noch einen Blickwinkel hinzufügen: Das Internet ist ein lose verbundenes Netz von Routern; Ihr WLAN-Router zu Hause ist nur einer von ihnen. Jede HTTP-Verbindung, die Sie zu einem anderen Webserver im Internet herstellen, führt normalerweise über ein Dutzend Router, um dorthin zu gelangen. Dieser Pfad ändert sich abhängig von den Netzwerkbedingungen häufig. Sie können nicht vorhersagen, welche Router Sie verwenden werden. Jeder dieser Router gehört einer anderen Person oder Firma [1] und wird von dieser verwaltet.

Alle diese Personen haben die Möglichkeit, Ihre Daten im Verlauf zu überwachen. Sie können dies routinemäßig in nicht böswilligen Situationen im Verlauf der täglichen Fehlerbehebung tun, da dieses Netz von Routern eine ständige Überwachung und Verwaltung benötigt, damit es überhaupt läuft. Diese Bemühungen umfassen allein mehrere Berufsfelder. (Die Menschen, die sich für diese Berufsfelder entscheiden, sind in Bezug auf gute Sicherheit eher unnachgiebig und nehmen ihre soziale Verantwortung ernst, aber das einzige, was sie im praktischen Sinne aus Ihren Daten heraushält, ist ihr eigenes Gewissen und ihr Ruf.) P. >

Die Ausrüstung, Software und Funktionen sind also bereits vorhanden. Alles, was ein Bösewicht tun muss, ist, den Router oder das Überwachungssystem eines anderen zu kooptieren.

HTTPS-Verbindungen gehen denselben Weg, aber da sie verschlüsselt sind, kann nur der Administrator des Webservers den Klartextinhalt sehen. Die Router-Administratoren sehen nur, was wie zufälliges Rauschen aussieht. (Der Webserver selbst ist möglicherweise kompromittiert, aber das ist ein anderes Problem.)

[1] Wenn Sie selbst mit dem Befehl traceroute oder tracert spielen, wird dies angezeigt Sie erhalten einen Einblick, wie diese Pfade aussehen können.

Bei HTTP fließen Informationen über diese Pipeline zwischen Ihrem Computer und dem Server:

Von links nach rechts: Ihr Computer, der Luftraum um Ihren Computer und Ihren WLAN-Router, Ihren Router, das Kabel zu Ihrer lokalen ISP-Box, Ihre lokale ISP-Box, ein riesiges Netzwerk von Geräten und Kabeln, von denen Sie nichts wissen und über die Sie keine Kontrolle haben, die lokale ISP-Box des Servers, Das Kabel zum Server und zum Server selbst.

Überall im roten Bereich können die Informationen abgerufen und manipuliert werden. Jeder, der eines der roten Kästchen kontrolliert, kann die Informationen beschnüffeln und manipulieren. Jeder kann eines der roten Rohre aufbrechen und Zugriff auf die durch ihn fließenden Informationen erhalten und daran herumschnüffeln oder manipulieren.

Ihre Informationen sind nur in den grünen und blauen Kästchen und Rohren sicher.

Mit HTTPS fließen Informationen durch diese Pipeline:

Ihr Computer und der Server richten eine virtuelle Pipe ein, die ' Lassen Sie sich nicht aufbrechen und führen Sie es durch alle Rohre und Kästen untereinander. Jetzt sind Ihre Daten an jedem Transitpunkt sicher.

Ja, die Verwendung von HTTPS gegenüber HTTP bietet einen enormen Vorteil.

1. HTTP wird nicht über PKI verschlüsselt. Daher werden alle Informationen über Klartext übertragen, der von einem Paket-Sniffer und jedem Gerät, das diese Pakete durchlaufen, gelesen werden kann Sobald sie das Modem verlassen.
2. Mit HTTP kann man nicht wissen, ob der Eigentümer der Website derjenige ist, von dem er sagt, dass er er ist, und als solcher kann man nicht wissen, ob er einem MITM unterworfen ist Angriff.
   • Aus diesem Grund wird empfohlen, immer HTTPS zu verwenden, wenn eine Website dies anbietet, da nur so ein Benutzer darauf vertrauen kann, dass der Inhalt, den er bereitstellt, nicht manipuliert wurde.

• Bei Anmeldungen zur Standortverarbeitung wird mit größerer Wahrscheinlichkeit ein Verschlüsselungsschlüssel mit 2048 Bit / Äquivalent verwendet.
  • Bei Verwendung von HTTP können beispielsweise alle Geräte, die diese Pakete durchlaufen, genau lesen, welche Informationen gesendet werden und empfangen (dies schließt Passwörter, Konto-&-CC-Nummern usw. ein); Wenn Sie jedoch HTTPS verwenden, können nur die Header-Informationen gelesen werden.

  Ihre Frage taucht auch häufig bei Router-WebUIs in LANs auf, und obwohl dieser Datenverkehr niemals den lokalen Datenverkehr verlässt Netzwerk sollte weiterhin nur über HTTPS zugegriffen werden, da sonst alle Passwörter, einschließlich der Roots, als einfacher Text gesendet werden.

  • Es spielt keine Rolle, ob nur eine Person auf / zugreift ihr lokales Netzwerk ... Wenn Passwörter / vertrauliche Informationen gesendet / empfangen werden müssen, sollte immer nur über HTTPS darauf zugegriffen werden, insbesondere wenn es nur wenige Minuten dauert, um eine selbstsignierte CA oder CA / ICA zu generieren und verwenden Sie die Zertifizierungsstelle oder ICA, um eine CSR für den Server zu signieren.

Auch wenn Sie sich nicht allzu sehr um die Möglichkeit kümmern, dass Ihr ISP / Ihre Regierung böse ist, gibt es mindestens zwei Angriffe, die leicht gegen Ihre Heimverbindung ausgeführt werden können, sodass nur HTTPS Ihre Daten schützt:

• Der böse Zwillingsangriff, bei dem jemand einen WLAN-Router mit demselben Namen wie Sie, aber mit einem stärkeren Signal einrichtet, sodass Sie sich stattdessen mit ihm verbinden Ihres eigenen WLAN-Routers (typische WLAN-Einstellungen zu Hause beinhalten nur eine Einwegauthentifizierung - der Laptop beweist seine Identität mit dem Kennwort, der Router muss sich jedoch nicht selbst beweisen).
• Entführung des Routers Oft einfach - Routersoftware ist in der Regel unsicher und es gibt keinen Sicherheitsaktualisierungsprozess. Sobald eine Sicherheitslücke für Ihre spezifische Routerversion entdeckt wird, bleibt Ihr Router für immer anfällig. Es gibt verschiedene vorgefertigte Tools und sogar automatisierte Malware, die auf Router abzielen. Z.B. dieser Angriff ereignete sich vor einigen Monaten.